Държавен вестник, бр. 59, 2019 г., стр. 14

СТР.  14	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
БРОЙ  59
2. периодично инструктиране на служи­
телите за повишаване на вниманието им по 
отношение на мрежовата и информационната 
сигурност; инструктажът се прави по утвърден 
график и се документира по начин, гаранти­
ращ проследяемост.
Управление на взаимодействията с трети 
страни
Чл. 10. (1) При установяване на взаимо­
отношения с доставчици на стоки и услуги, 
наречени „трети страни“, Субектът трябва да 
договори изисквания за мрежова и информа­
ционна сигурност, включително: 
1. за сигурност на информацията, свързани 
с достъпа на представители на трети страни 
до информация и активи на Субекта;
2. за доказване, че третата страна също 
прилага адекватни мерки за мрежова и ин­
формационна сигурност, включително клаузи 
за доказването на прилагането на тези мерки 
чрез документи и/или провеждане на одити;
3. за прозрачност на веригата на достав­
ките; третата страна трябва да е способна да 
докаже произхода на предлагания ресурс/
услуга и неговата сигурност;
4. последици при неспазване на изисква­
нията за сигурност на информацията;
5. отговорност при неспазване на догово­
рените срокове, количество и/или качество 
на услугата, което може да създаде риск за 
постигане на целите на мрежовата и инфор­
мационната сигурност;
6. за взаимодействие в случай на възник­
ване на инцидент, който най-малко включва: 
контактни точки, начин за докладване, вре­
ме за реакция, време за възстановяване на 
работата, условия за затваряне на инцидент. 
(2) Субектът определя служител/служители, 
отговарящ/отговарящи за спазване на изис­
кванията по ал. 1 и параметрите на нивото 
на обслужване.
(3) Субектът изготвя план за действие в 
случай на неспазване на уговорените дейности 
и клаузи с третата страна.
Управление на измененията в информационните 
активи
Чл. 11. (1) Субектът приема вътрешни 
правила за управление на измененията във 
важните за дейността му информационни 
активи в съответствие с изискването на чл. 5, 
ал. 1, т. 6 с цел намаляване на риска от ин­
циденти, настъпили в резултат на изменения 
във важните за дейността му информационни 
активи, и по-точно в информационните и ко­
муникационните системи и обслужващата ги 
инфраструктура, в процесите и дейностите, в 
конфигурациите, в софтуера или във фърмуера.
(2) Преди да се извърши изменението, 
Субектът трябва да направи анализ и оценка 
на риска в съответствие с чл. 7.
(3) Измененията се:
1. планират, като се определят срокове 
и отговорности за всяка дейност, която ще 
бъде извършена преди, по време на и след 
изменението;
2. съгласуват предварително с всички 
страни, имащи отговорности към процесите 
и дейностите в обхвата на наредбата;
3. одобряват от административния орган, 
съответно от ръководителя на субекта по 
чл. 1, ал. 1, т. 2 – 5, или от упълномощено 
от него лице;
4. оповестяват по подходящ начин на всички 
страни, които са заинтересовани; информира­
нето на заинтересованите страни трябва да е 
поне 3 дни преди да се направи изменението;
5. проверяват в тестова среда.
(4) Субектът разработва план за връщане 
на системите в предишното им състояние, 
за да се намали продължителността на по­
тенциален инцидент, настъпил в резултат на 
изменението.
Сигурност при разработване и придобиване на 
информационни и комуникационни системи
Чл. 12. (1) При разработване на проекти и 
технически задания Субектът включва адек­
ватни и комплексни изисквания за мрежова 
и информационна сигурност, основани на 
анализ и оценка на риска, с цел да се гаран­
тира, че изискваното ниво на сигурност на 
информацията, мрежите и информационните 
системи е заложено още в етапа на разработка 
и внедряване.
(2) Субектът въвежда в експлоатация нови 
информационни и комуникационни системи 
планирано и след успешно проведени и до­
кументирани тестове, доказващи защитата 
на информацията от загуба на достъпност, 
интегритет и конфиденциалност.
Раздел II
Защита
Сегрегация
Чл. 13. (1) Субектът поддържа информаци­
онна и комуникационна инфраструктура, която 
гарантира, че информационните и комуника­
ционните системи, изпълняващи различни 
функции, са разделени и изолирани помежду 
си физически и/или логически, както и че са 
разделени и изолирани от информационните и 
комуникационните системи на трети страни, 
с цел да се ограничи разпространението на 
инциденти с мрежовата и информационната 
сигурност.
(2) В случай че дадена система е съста­
вена от подсистеми, разделянето им трябва 
да се осъществи на последно физическо или 
логическо ниво, като уеб сървърът, сървърът 
с приложния софтуер и сървърът с базата 
данни на една информационна система трябва 
да са разположени на различни машини и в 
различни мрежи.